Hvorfor Spanien fortjener et eget blik

Spanien er et af de største publikummer for spansksprogede udgivere i verden, og landets databeskyttelsesmyndighed, Agencia Española de Protección de Datos (AEPD), er en af Europas mest aktive tilsynsmyndigheder. Som alle EU-lande anvender Spanien GDPR, men reglen om cookies stammer fra national lovgivning, der gennemfører ePrivacy-direktivet. For udgivere er AEPD's cookievejledning den mest praktiske reference for, hvordan disse regler læses i Spanien.

Denne artikel opsummerer, hvad vejledningen betyder for et typisk annoncefinansieret websted eller en app. Det er et praktisk overblik, ikke juridisk rådgivning.

Retsgrundlaget: LSSI artikel 22.2

Cookiereglen i Spanien står i artikel 22.2 i lov 34/2002 om informationssamfundstjenester og elektronisk handel, kendt som LSSI. Den kræver, at lagring af eller adgang til oplysninger på en brugers enhed bygger på samtykke givet efter klar og fyldestgørende information, med en undtagelse for lagring, der er strengt nødvendig for en tjeneste, som brugeren udtrykkeligt har anmodet om, eller for at transmittere en kommunikation.

Når cookies bruges til at behandle personoplysninger, gælder GDPR og Spaniens organiske lov 3/2018 (LOPDGDD) også, og det er derfor, AEPD er den myndighed, udgivere har med at gøre i cookiespørgsmål.

AEPD's cookievejledning

AEPD udgiver en vejledning om brugen af cookies, udarbejdet sammen med brancheforeninger. Den blev opdateret i juli 2023 for at tilpasse den til Det Europæiske Databeskyttelsesråds arbejde med cookiebannere og vildledende designmønstre, og organisationer fik frem til januar 2024 til at tilpasse sig. De vigtigste punkter for udgivere er nedenfor.

Samme fremtrædende placering af afvisning

Den opdaterede vejledning forventer, at hvis bannerets første lag indeholder en knap til at acceptere cookies, tilbyder det også en tilsvarende måde at afvise dem på, præsenteret på samme niveau og med lignende synlighed. En afvisningsmulighed gemt bag et link til “indstillinger” er ikke tilsvarende.

Intet samtykke ved at surfe

At scrolle, fortsætte med at navigere eller lukke banneret tæller ikke som samtykke. Brugeren skal foretage en klar, bekræftende handling.

Klar information i lag

Vejledningen accepterer en lagdelt tilgang: et kort første lag, der angiver udgiveren, formålene, om tredjeparter er involveret, og hvordan man accepterer, afviser eller konfigurerer, og et andet lag med detaljerede oplysninger om hver cookie, de involverede parter og opbevaring.

Granulære valg

Brugere bør kunne vælge pr. formål og, hvor det er nyttigt, pr. tredjepart, i stedet for at stå over for én enkelt alt-eller-intet-kontakt.

Tilbagetrækning

Brugere skal til enhver tid kunne trække samtykket tilbage, lige så let som de gav det. Et permanent link eller ikon, der genåbner indstillingerne, er den sædvanlige løsning.

Samtykkets varighed

Vejledningen anbefaler, at samtykke fornyes jævnligt, og foreslår en maksimal gyldighed på 24 måneder, så brugerne bliver spurgt igen, i stedet for at et valg gemmes på ubestemt tid.

Adgang betinget af cookies

Vejledningen drøfter tilfælde, hvor adgang til en tjeneste gøres betinget af at acceptere cookies. Den angiver, at det kan være acceptabelt under visse omstændigheder, for eksempel hvor brugeren tilbydes et reelt alternativ til at få adgang til indholdet uden at acceptere cookies, som ikke behøver at være gratis. Set i lyset af EDPB's separate udtalelse om “consent or pay”-modeller for store platforme bør udgivere, der overvejer denne tilgang, indhente specifik juridisk rådgivning.

Hvad det betyder i praksis

For de fleste udgivere, der allerede kører en TCF-baseret CMP i hele EU, kræver Spanien få strukturelle ændringer. De punkter, der oftest kræver opmærksomhed:

• Afvisning i første lag. Hvis dit EU-banner stadig kun bruger “Accepter” plus “Administrer indstillinger”, er spansk trafik en grund til at tilføje en synlig afvisningsknap.
• Spansk tekst. Formål og beskrivelser af tredjeparter bør være på klart spansk for brugere i Spanien, ikke maskinoversatte fragmenter blandet med engelske leverandørnavne.
• Plan for ny forespørgsel. Tjek, at din CMP fornyer samtykke inden for den periode, du har valgt, og at ændringer af leverandører eller formål udløser en ny forespørgsel.
• Cookiepolitik. Hold oplysningerne i andet lag og din cookiepolitik i overensstemmelse med det, der faktisk kører på webstedet.
• Indlæsning før samtykke. Sørg for, at ingen annonce- eller analysecookies sættes, før brugeren har besluttet sig. Det er fortsat den mest almindelige konstatering i cookieundersøgelser overalt.

Håndhævelseskontekst

AEPD offentliggør jævnligt sine afgørelser, og cookiesager optræder blandt dem, ofte med bannere uden en reel afvisningsmulighed eller cookies sat før noget valg. Beløb og udfald varierer fra sag til sag, så den nyttige lektie er mønsteret i konstateringerne frem for noget tal: manglende afvisningsmuligheder, sporing før samtykke og uklar information er de problemer, der dukker op igen og igen.

En tjekliste til et Spanien-klart banner

1. Accepter og afvis tilbydes på samme niveau i første lag.
2. Ingen andre cookies end strengt nødvendige før et valg.
3. Klar opsummering i første lag på spansk, med et link til detaljer.
4. Granulære kontroller pr. formål i andet lag.
5. Tilbagetrækning mulig fra enhver side.
6. Samtykke fornyet inden for en fastlagt periode, anbefalet højst 24 måneder.
7. Cookiepolitik i overensstemmelse med de tags, der faktisk indlæses.

Vigtigste pointer

• Spaniens cookieregel er LSSI artikel 22.2; AEPD håndhæver den sammen med GDPR.
• AEPD's vejledning, opdateret i juli 2023, forventer, at afvisning er lige så nemt som accept i første lag.
• At surfe eller lukke banneret er ikke samtykke.
• Vejledningen anbefaler at forny samtykke mindst hver 24. måned.
• Modeller med betinget adgang kræver en omhyggelig, sagsspecifik juridisk vurdering.